Уязвимость в eMudhra: слабые ключи угрожают API криптобирж
Восемь приватных ключей индийского удостоверяющего центра eMudhra были скомпрометированы из-за использования слишком простых чисел. Браузеры оперативно заблокировали поддельные сертификаты, однако стороннее ПО, включая торговых ботов и бэкенды кошельков, может оставаться под угрозой.
Как обнаружили уязвимость
17 октября исследователь под псевдонимом Wayne сообщил разработчикам браузеров о компрометации восьми секретных ключей eMudhra. Чтобы доказать уязвимость, он подписал своё предупреждающее сообщение всеми восемью ключами: «We have a problem here – Wayne».
eMudhra — индийский удостоверяющий центр, который выпускает цифровые сертификаты для подтверждения подлинности сайтов. По данным The Register, компания выдала более 60 миллионов сертификатов.
Причина: простые числа вместо случайных
По словам исследователей, eMudhra использовала в качестве приватных ключей легко угадываемые целые числа, такие как 4, 56 и 115, вместо стойких 384-битных случайных значений. Специалист по безопасности Скотт Хелм утверждает, что один из ключей удостоверяющего центра — это число 4, другой — 56, третий — 115.
Хелм заявил, что восстановил все восемь ключей из публичных сертификатов менее чем за секунду, и что ключи были раскрыты с апреля 2025 года. По его мнению, причиной стала ошибка в скрипте настройки ключей eMudhra.
Реакция браузеров и разработчиков
Mozilla получила отчёт сразу после 20:00 UTC и заблокировала сертификаты примерно через три часа. Chrome сделал это в тот же день, Apple — 19 октября, Microsoft — 20 октября. Сама eMudhra также отозвала сертификаты.
Разработчики ПО выпустили экстренные исправления: обновления получили Go, пакет certifi для Python и webpki-roots для Rust. Для Node.js исправление на момент последней проверки ещё не вышло.
Риски для криптоиндустрии
Хотя атаки на пользователей пока не зафиксированы, уязвимость может затронуть торговых ботов, скрипты и бэкенды кошельков на Python, Node или Go. Поддельный сертификат для API криптобиржи позволил бы злоумышленнику в той же сети читать или изменять трафик бота.
Хелм отметил, что многие программы не проверяют отзыв сертификатов, поэтому отзыв промежуточных сертификатов eMudhra и Sectigo им не помогает. Его тесты показали, что curl, Python, Node, Go и Java принимали поддельный сертификат для API Stripe.
Ранее, в октябре, на нашем сайте выходил материал об открытой ИИ-модели Muse Spark Open от Meta для Mac и API, что также подчёркивает важность безопасности API-интеграций.
Аналитика
| Монета | Цена | 24 ч | 7 дней | Капитализация |
|---|---|---|---|---|
| Bitcoin BTC | $82 711 | +1,2% | −0,8% | $1,66 трлн |
| Ethereum ETH | $2 439 | +1,9% | −2,5% | $297,93 млрд |
Данные: CoinGecko
- На момент публикации биткоин торгуется по $82 711 (+1,2% за сутки, −0,8% за неделю), Ethereum — по $2 439 (+1,9% за сутки, −2,5% за неделю).
- Новость об уязвимости eMudhra появилась на фоне умеренного роста криптовалют за 24 часа, но прямо не связана с движением цен.
- Для держателей криптовалют основной риск — не в браузере, а в торговых ботах и кошельках, которые могут не проверять отзыв сертификатов.
- Стоит следить за выпуском исправления для Node.js и за дальнейшими отчётами об атаках на API криптобирж.
Материал носит информационный характер и не является инвестиционной рекомендацией.
Источник: coindesk.com
Обсудить в Telegram
